悪意あるVPNサーバーによって、WatchGuard Fireboxへの接続がroot権限でのコマンド実行につながる可能性がある。WatchGuardは9月29日、CVE-2026-86131を公表し、Fireware OSの脆弱性をCVSS v4で9.2の重大（Critical）と評価した。
この脆弱性はBOVPN over TLSクライアント構成に影響し、リモートVPNサーバーを制御する攻撃者が、接続してきたFirebox上でrootとして任意のコマンドを実行できる。WatchGuardは、実際の環境での悪用は確認していないとしている。
悪用には、攻撃者が公開されたアプライアンスのサービスを直接標的にするのではなく、Fireboxが攻撃者の制御下にあるVPNサーバーへ接続する必要がある。 WatchGuardのCVE-2026-86131アドバイザリでは、サポート対象のFireware OS各ブランチ向けの修正が示されている。最近の Ciscoのファイアウォール管理インフラに対する攻撃でも、侵害されたセキュリティシステムによって認証情報や構成、内部ネットワークへの経路が露出し得ることが別途明らかになっている。
悪意あるVPNサーバーからFireboxのroot権限に到達可能。
CVE-2026-86131は、Fireware OSがBOVPN over TLSクライアント構成を処理する方法に影響する。WatchGuardはこの脆弱性について、コードインジェクション、不適切な証明書検証、信頼されていない制御領域からの機能に関連するとしている。
この脆弱性は、インターネットに公開されたFireboxへトラフィックを直接送るだけで攻撃者が悪用できる、一般的な未認証の脆弱性ではない。アプライアンスが、攻撃者の制御下にあるサーバーへの影響を受けるBOVPN over TLSクライアント接続を確立しなければならない。
標準的なFireware OSの展開について、WatchGuardは影響を受ける範囲を2026.3から2026.3.2未満、2025.0から2026.2.3未満、12.0から12.12.3未満としている。T15およびT35デバイスでは、12.0から12.5.21未満が影響を受ける。
修正版はFireware OS 2026.3.2、2026.2.3、12.12.3、およびT15・T35デバイス向けの12.5.21である。
パッチ適用で確認済みの攻撃経路を遮断。
WatchGuardはアップグレードを解決策として挙げており、CVE-2026-86131向けの個別の回避策は提供していない。構成の強化や監視によって、露出を抑えたり不審な活動を特定しやすくしたりできるが、修正版リリースの代わりにはならない。
組織は次の対応を行うべきだ。
- 影響を受けるFireboxアプライアンスをアップグレードする。各デバイスとブランチに適用可能な修正版Fireware OSリリースをインストールする。
- 不要なBOVPN over TLSクライアント接続を無効にする。運用上必要なくなった構成を削除する。
- 構成済みのVPNピアを確認する。プライマリおよびバックアップのサーバー宛先が、承認済みで想定されたものであることを確認する。
- 不要なトンネル経路を制限する。多層防御の対策として、必要なネットワークまたはホストへのトラフィックに限定する。
- 不審な活動を監視する。予期しないVPN宛先、構成や管理上の変更、通常とは異なる外向き接続を調査する。
- ファイアウォール侵害を想定したインシデント対応計画をテストする。隔離、証拠保全、認証情報のローテーション、復旧、ネットワークサービスの復元に関する手順を確認する。
CVE-2026-86131は、今回のリリースで対処されたFireware OSの15件の脆弱性の1つだ。 SecurityWeekによるアップデートのレビューでは、リモートコード実行、認可バイパス、SSL VPNへの不正アクセス、ファイル読み取り、サービス拒否などのリスクに関わる、重大度の高い追加の脆弱性13件と中程度の問題1件が確認された。
最近の攻撃では、企業ネットワークへの特権アクセスを持つ他のセキュリティアプライアンスも標的になっている。9月には、積極的に悪用されていた Cisco Secure Email Gatewayの脆弱性や Check Pointのセキュリティ管理ゼロデイなどが発生したが、いずれもCVE-2026-86131とは関係がない。
WatchGuardは10月1日時点でも、CVE-2026-86131の既知の悪用はないと報告している。修正版リリースが利用可能になったことで、影響を受ける組織は、実際に悪用が確認される前に確認済みの攻撃経路を塞ぐことができる。
関連記事：ネットワークエッジにおける別の最近の脆弱性について、次の 重大なCisco Nexus 9000の脆弱性により、影響を受けるスイッチで未認証の攻撃者がrootとしてコードを実行できる可能性がある事例も紹介している。